AWS Client VPN ਪ੍ਰਮਾਣਿਕਤਾ: IAM ਅਨੁਮਤੀਆਂ ਲੌਗਇਨ ਢੰਗ ਨਹੀਂ ਹਨ
ਕੰਸੋਲ ਅਨੁਮਤੀਆਂ ਟਨਲ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਕਰਦੀਆਂ। ਸਰਟੀਫਿਕੇਟ, AD ਅਤੇ SAML ਢੰਗਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ, ਫਿਰ ਦੇਖੋ ਕਿ SSM ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਇੱਕ ਪ੍ਰਾਈਵੇਟ ਡੇਟਾਬੇਸ ਲਈ ਕਦੋਂ ਢੁੱਕਵੀਂ ਹੈ।
ਕਿਸੇ ਵਰਤੋਂਕਾਰ ਨੂੰ AWS Client VPN ਐਂਡਪੌਇੰਟ ਬਣਾਉਣ ਜਾਂ ਵਰਣਨ ਕਰਨ ਦੀ ਅਨੁਮਤੀ ਦੇਣਾ ਉਸ ਵਰਤੋਂਕਾਰ ਨੂੰ ਇਸ ਨਾਲ ਜੁੜਨ ਦੀ ਆਗਿਆ ਨਹੀਂ ਦਿੰਦਾ। ਇਹ ਦੋ ਵੱਖ-ਵੱਖ ਕਿਸਮਾਂ ਦੀਆਂ ਪਛਾਣਾਂ ਹਨ: IAM AWS API ਕਾਲਾਂ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਐਂਡਪੌਇੰਟ ਸਿਰਫ਼ ਉਹੀ ਕਲਾਇੰਟ ਪ੍ਰਮਾਣਿਕਤਾ ਢੰਗ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਜੋ ਇਸ ਉੱਤੇ ਸੰਰਚਿਤ ਹਨ। ਇਸ ਲਈ ਵਰਤੋਂਕਾਰ ਕੋਲ ਵਿਆਪਕ ਕੰਸੋਲ ਅਧਿਕਾਰ ਹੋ ਸਕਦੇ ਹਨ ਅਤੇ ਫਿਰ ਵੀ VPN ਕਲਾਇੰਟ ਕੋਲ ਪੇਸ਼ ਕਰਨ ਲਈ ਕੁਝ ਨਹੀਂ ਹੋ ਸਕਦਾ। ਤੈਅ ਕਰੋ ਕਿ ਐਂਡਪੌਇੰਟ ਕਿਹੜੇ ਢੰਗ ਉੱਤੇ ਭਰੋਸਾ ਕਰਦਾ ਹੈ, ਫਿਰ ਤੈਅ ਕਰੋ ਕਿ ਤੁਸੀਂ ਜੋ ਪਹੁੰਚ ਦੇ ਰਹੇ ਹੋ ਉਸ ਲਈ ਪੂਰੀ ਟਨਲ ਸਹੀ ਆਕਾਰ ਹੈ ਜਾਂ ਨਹੀਂ।
API ਪਛਾਣ ਟਨਲ ਪਛਾਣ ਨਹੀਂ ਹੈ
ਜਦੋਂ ਕੋਈ ਕਹਿੰਦਾ ਹੈ «IAM ਭੂਮਿਕਾ ਜੁੜੀ ਹੋਈ ਹੈ, ਫਿਰ ਵੀ VPN ਕਿਉਂ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ», ਤਾਂ ਜਵਾਬ ਆਮ ਤੌਰ ਉੱਤੇ ਇਹ ਹੁੰਦਾ ਹੈ ਕਿ ਕਨੈਕਸ਼ਨ ਪ੍ਰਵਾਹ ਦਾ ਕੋਈ ਵੀ ਕਦਮ ਉਸ ਭੂਮਿਕਾ ਨੂੰ ਕਦੇ ਨਹੀਂ ਪੜ੍ਹਦਾ। ਕਲਾਇੰਟ ਇੱਕ ਸਰਟੀਫਿਕੇਟ, AD ਵਰਤੋਂਕਾਰਨਾਮ ਅਤੇ ਪਾਸਵਰਡ, ਜਾਂ SAML ਦਾਅਵਾ ਪੇਸ਼ ਕਰਦਾ ਹੈ। ਐਂਡਪੌਇੰਟ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਅਤੇ ਫਿਰ ਪਤਾ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ।
IAM ਅਜੇ ਵੀ ਮਹੱਤਵਪੂਰਨ ਹੈ, ਬੱਸ ਬਾਅਦ ਵਿੱਚ ਅਤੇ ਕਿਤੇ ਹੋਰ: ਐਂਡਪੌਇੰਟ ਬਣਾਉਣਾ, ਸਬਨੈੱਟ ਜੋੜਨਾ, ਰੂਟ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨਾ ਅਤੇ ਅਧਿਕਾਰ ਨਿਯਮ ਲਿਖਣਾ API ਕਾਰਵਾਈਆਂ ਹਨ। ਉਹ ਅਨੁਮਤੀਆਂ ਉਨ੍ਹਾਂ ਆਪਰੇਟਰਾਂ ਤੱਕ ਸੀਮਤ ਰੱਖੋ ਜਿਨ੍ਹਾਂ ਨੂੰ ਉਹਨਾਂ ਦੀ ਲੋੜ ਹੈ, ਹਰ ਵਰਤੋਂਕਾਰ ਨੂੰ ਐਂਡਪੌਇੰਟ ਦੇ ਪਹੁੰਚ ਨਿਯਮ ਦੁਬਾਰਾ ਲਿਖਣ ਦੀ ਸਮਰੱਥਾ ਦੇਣ ਦੀ ਬਜਾਏ।
ਐਂਡਪੌਇੰਟ ਜਿਨ੍ਹਾਂ ਢੰਗਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਚੁਣੋ
AWS Client VPN ਸਰਟੀਫਿਕੇਟ-ਅਧਾਰਿਤ ਆਪਸੀ ਪ੍ਰਮਾਣਿਕਤਾ, Active Directory ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ SAML-ਅਧਾਰਿਤ ਸੰਘੀ ਪ੍ਰਮਾਣਿਕਤਾ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਤੁਸੀਂ ਕੋਈ ਵੀ ਕਲਾਇੰਟ ਢੰਗ ਚੁਣੋ, ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਲਾਜ਼ਮੀ ਹੈ, ਅਤੇ ਢੰਗਾਂ ਨੂੰ ਜੋੜਨ ਵਾਲੀ ਸੰਰਚਨਾ ਲਈ ਦੋਵੇਂ ਸਫਲ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਇੱਕ ਨਹੀਂ।
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
ਸਰਟੀਫਿਕੇਟ ਸਥਾਪਿਤ ਕਰਨ ਲਈ ਸਭ ਤੋਂ ਸਸਤੇ ਅਤੇ ਵੱਡੇ ਪੈਮਾਨੇ ਉੱਤੇ ਗਲਤੀ ਕਰਨ ਲਈ ਸਭ ਤੋਂ ਸੌਖੇ ਹਨ, ਕਿਉਂਕਿ ਹਰ ਵਰਤੋਂਕਾਰ ਨੂੰ ਪ੍ਰਮਾਣ ਪੱਤਰ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਹਰ ਨਿਕਾਸ ਲਈ ਰੱਦ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਡਾਇਰੈਕਟਰੀ ਪ੍ਰਮਾਣਿਕਤਾ ਉਸ ਜੀਵਨ ਚੱਕਰ ਨੂੰ ਮੌਜੂਦਾ ਸਿਸਟਮ ਵਿੱਚ ਭੇਜਦੀ ਹੈ। ਸੰਘ ਇਸਨੂੰ ਪਛਾਣ ਪ੍ਰਦਾਤਾ ਕੋਲ ਭੇਜਦਾ ਹੈ ਅਤੇ ਕਲਾਇੰਟ ਵਿੱਚ ਬ੍ਰਾਊਜ਼ਰ ਕਦਮ ਜੋੜਦਾ ਹੈ।
ਕਲਾਇੰਟ ਨੂੰ ਡੀਬੱਗ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਐਂਡਪੌਇੰਟ ਦੀ ਆਪਣੀ ਸੰਰਚਨਾ ਪੜ੍ਹੋ। ਜੇ ਵਰਤੋਂਕਾਰ-ਅਧਾਰਿਤ ਢੰਗ ਦੇ ਨਾਲ ਆਪਸੀ ਪ੍ਰਮਾਣਿਕਤਾ ਸਮਰੱਥ ਹੈ, ਤਾਂ ਵੈਧ ਸਰਟੀਫਿਕੇਟ ਵਾਲਾ ਪਰ ਡਾਇਰੈਕਟਰੀ ਖਾਤਾ ਨਾ ਰੱਖਣ ਵਾਲਾ ਕਲਾਇੰਟ ਫਿਰ ਵੀ ਫੇਲ੍ਹ ਹੋਵੇਗਾ, ਅਤੇ ਗਲਤੀ ਆਮ ਤੌਰ ਉੱਤੇ ਆਮ ਹੈਂਡਸ਼ੇਕ ਸਮੱਸਿਆ ਵਰਗੀ ਦਿਸਦੀ ਹੈ।
ਸੰਘ ਪਹੁੰਚ ਕੁੰਜੀਆਂ ਪਾਸ ਕਰਨਾ ਨਹੀਂ ਹੈ
SAML ਸੈਟਅੱਪ IAM ਪਹੁੰਚ ਕੁੰਜੀਆਂ ਜਾਂ ਲਏ ਹੋਏ ਭੂਮਿਕਾ ਦਾ ਟੋਕਨ ਟਨਲ ਵਿੱਚ ਨਹੀਂ ਪਾਉਂਦਾ। ਪਛਾਣ ਪ੍ਰਦਾਤਾ ਵਿਅਕਤੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰਦਾ ਹੈ, ਦਾਅਵਾ ਵਾਪਸ ਭੇਜਦਾ ਹੈ, ਅਤੇ ਐਂਡਪੌਇੰਟ ਉਸਨੂੰ ਤੁਹਾਡੇ ਸੰਰਚਿਤ ਭਰੋਸੇ ਅਧੀਨ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਨਤੀਜੇ ਵਜੋਂ ਬਣਿਆ ਸੈਸ਼ਨ VPN ਸੈਸ਼ਨ ਹੈ, AWS API ਸੈਸ਼ਨ ਨਹੀਂ।
ਇਹ ਫ਼ਰਕ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕੌਣ ਕੀ ਨਿਦਾਨ ਕਰ ਸਕਦਾ ਹੈ। IdP ਸਮੱਸਿਆਵਾਂ ਕਿਸੇ ਵੀ ਟਨਲ ਤੋਂ ਪਹਿਲਾਂ ਬ੍ਰਾਊਜ਼ਰ ਜਾਂ ਕਲਾਇੰਟ ਗਲਤੀ ਵਜੋਂ ਦਿਸਦੀਆਂ ਹਨ, ਜਦੋਂ ਕਿ ਟਨਲ ਸਮੱਸਿਆਵਾਂ ਸਫਲ ਦਾਅਵੇ ਤੋਂ ਬਾਅਦ ਦਿਸਦੀਆਂ ਹਨ। ਕੋਈ ਵੀ ਕੰਸੋਲ ਖੋਲ੍ਹਣ ਤੋਂ ਪਹਿਲਾਂ ਪੁੱਛੋ ਕਿ ਤੁਸੀਂ ਇਨ੍ਹਾਂ ਦੋਹਾਂ ਵਿੱਚੋਂ ਕਿਹੜਾ ਦੇਖ ਰਹੇ ਹੋ।
ਲੌਗਇਨ ਤੋਂ ਬਾਅਦ ਵੀ ਰੂਟ ਅਤੇ ਅਧਿਕਾਰ ਤੈਅ ਕਰਦੇ ਹਨ
ਪ੍ਰਮਾਣਿਕਤਾ ਸੈਸ਼ਨ ਨੂੰ ਪਤਾ ਦਿੰਦੀ ਹੈ; ਇਹ ਸੈਸ਼ਨ ਨੂੰ ਮੰਜ਼ਿਲ ਨਹੀਂ ਦਿੰਦੀ। ਐਂਡਪੌਇੰਟ ਦੇ ਰੂਟ ਕਲਾਇੰਟ ਨੂੰ ਦੱਸਦੇ ਹਨ ਕਿ ਕਿਹੜੇ ਸਬਨੈੱਟ ਉੱਤੇ ਭੇਜਣਾ ਹੈ, ਅਧਿਕਾਰ ਨਿਯਮ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਕਿਹੜੇ ਵਰਤੋਂਕਾਰ ਉਨ੍ਹਾਂ ਸਬਨੈੱਟਾਂ ਵਿੱਚੋਂ ਕਿਸ ਤੱਕ ਪਹੁੰਚ ਸਕਦੇ ਹਨ, ਅਤੇ ਸੁਰੱਖਿਆ ਸਮੂਹ ਤੇ ਨਿਸ਼ਾਨੇ ਦੀਆਂ ਆਪਣੀਆਂ ਅਨੁਮਤੀਆਂ ਬਾਕੀ ਤੈਅ ਕਰਦੀਆਂ ਹਨ।
ਇਸੇ ਲਈ ਸਫਲਤਾਪੂਰਵਕ ਪ੍ਰਮਾਣਿਤ ਵਰਤੋਂਕਾਰ ਵੀ ਡੇਟਾਬੇਸ ਤੱਕ ਪਹੁੰਚਣ ਵਿੱਚ ਫੇਲ੍ਹ ਹੋ ਸਕਦਾ ਹੈ। ਸਬਨੈੱਟ ਲਈ ਰੂਟ ਸਾਰਣੀ ਦਾ ਸੰਬੰਧ, ਵਰਤੋਂਕਾਰ ਦੇ ਸਮੂਹ ਲਈ ਅਧਿਕਾਰ ਨਿਯਮ ਅਤੇ ਨਿਸ਼ਾਨੇ ਉੱਤੇ ਸੁਰੱਖਿਆ ਸਮੂਹ ਇਸ ਕ੍ਰਮ ਵਿੱਚ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਹਰ ਇੱਕ ਵੱਖਰੀ ਕਿਸਮ ਦਾ ਸਮਾਂ ਸਮਾਪਤੀ ਪੈਦਾ ਕਰਦਾ ਹੈ।
ਇੱਕ ਪ੍ਰਾਈਵੇਟ ਡੇਟਾਬੇਸ ਲਈ, ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਨਾਲ ਤੁਲਨਾ ਕਰੋ
ਜੇ ਅਸਲ ਕੰਮ ਇੱਕ ਪ੍ਰਾਈਵੇਟ ਡੇਟਾਬੇਸ ਨਾਲ ਇੱਕ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਕਨੈਕਸ਼ਨ ਹੈ, ਤਾਂ ਪੂਰੀ ਨੈੱਟਵਰਕ ਟਨਲ ਲੋੜ ਨਹੀਂ, ਚੋਣ ਹੈ। AWS Systems Manager Session Manager IAM ਰਾਹੀਂ ਪ੍ਰਬੰਧਿਤ ਨੋਡ ਤੱਕ ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਸੈਸ਼ਨ ਖੋਲ੍ਹ ਸਕਦਾ ਹੈ, ਅਤੇ ਉਹ ਨੋਡ ਪ੍ਰਾਈਵੇਟ ਨੈੱਟਵਰਕ ਵਿੱਚ ਡੇਟਾਬੇਸ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ। ਵਰਤੋਂਕਾਰ ਨੂੰ ਕਦੇ ਵੀ VPC ਪਤਾ ਨਹੀਂ ਮਿਲਦਾ। ਪ੍ਰਬੰਧਿਤ ਨੋਡ ਹੀ ਇੱਕੋ-ਇੱਕ ਹੋਸਟ ਬਣਦਾ ਹੈ ਜੋ ਡੇਟਾਬੇਸ ਪੋਰਟ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ, ਅਤੇ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ ਆਮ ਤੌਰ ਉੱਤੇ ਇਹੀ ਮੰਗਦੀ ਸੀ। ਫਿਰ ਵਰਤੋਂਕਾਰਾਂ ਨੂੰ VPN ਪ੍ਰੋਫਾਈਲ ਦੀ ਬਜਾਏ ਸਥਾਨਕ ਕਲਾਇੰਟ ਅਤੇ ਸੈਸ਼ਨ ਕਮਾਂਡ ਚਾਹੀਦੀ ਹੈ।
ਵਪਾਰ ਵਿਆਪਕਤਾ ਬਨਾਮ ਪੂਰਵ ਸ਼ਰਤਾਂ ਹੈ। ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਲਈ ਪ੍ਰਬੰਧਿਤ ਨੋਡ ਉੱਤੇ SSM ਏਜੰਟ, ਉਸ ਨੋਡ ਤੋਂ ਡੇਟਾਬੇਸ ਤੱਕ ਨੈੱਟਵਰਕ ਪਹੁੰਚ, ਵਰਤੋਂਕਾਰ ਦੀ ਮਸ਼ੀਨ ਉੱਤੇ Session Manager ਪਲੱਗਇਨ ਅਤੇ ਉਸ ਖਾਸ ਸੈਸ਼ਨ ਨੂੰ ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਅਨੁਮਤੀ ਚਾਹੀਦੀ ਹੈ। ਇਹ ਹਰ ਸਬਨੈੱਟ ਵਿੱਚ ਦਾਖਲੇ ਦਾ ਰਾਹ ਨਹੀਂ ਹੈ, ਅਤੇ ਇਹ ਟਨਲ ਵਾਂਗ ਮਨਮਾਨੇ ਪ੍ਰੋਟੋਕੋਲ ਨਹੀਂ ਢੋਵੇਗਾ।
ਕਿਸੇ ਵੀ ਹਾਲਤ ਵਿੱਚ ਡੇਟਾਬੇਸ ਦੀ ਆਪਣੀ ਪਛਾਣ ਆਪਣੀ ਥਾਂ ਉੱਤੇ ਰੱਖੋ। ਮਾਰਗ ਨੂੰ IAM ਦੁਆਰਾ ਅਧਿਕਾਰਤ ਕੀਤਾ ਗਿਆ ਇਸ ਲਈ TLS ਪੁਸ਼ਟੀ ਅਤੇ ਡੇਟਾਬੇਸ ਪ੍ਰਮਾਣਿਕਤਾ ਗਾਇਬ ਨਹੀਂ ਹੁੰਦੇ, ਅਤੇ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਸੈਸ਼ਨ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ ਕਿ ਵਰਤੋਂਕਾਰ ਕਿਹੜੀਆਂ ਸਾਰਣੀਆਂ ਪੜ੍ਹ ਸਕਦਾ ਹੈ।
ਵਿਆਪਕਤਾ ਅਤੇ ਜੀਵਨ ਚੱਕਰ ਦੇ ਆਧਾਰ ਉੱਤੇ ਚੁਣੋ: ਟਨਲ ਜਦੋਂ ਬਹੁਤ ਸਾਰੇ ਵਰਤੋਂਕਾਰਾਂ ਨੂੰ ਬਹੁਤ ਸਾਰੀਆਂ ਮੰਜ਼ਿਲਾਂ ਚਾਹੀਦੀਆਂ ਹਨ ਅਤੇ ਤੁਸੀਂ ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਡਾਇਰੈਕਟਰੀ ਜੀਵਨ ਚੱਕਰ ਚਲਾ ਸਕਦੇ ਹੋ; ਫਾਰਵਰਡਿੰਗ ਸੈਸ਼ਨ ਜਦੋਂ ਥੋੜ੍ਹੇ ਲੋਕਾਂ ਨੂੰ ਇੱਕ ਸੇਵਾ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਤੁਸੀਂ ਨੈੱਟਵਰਕ ਪਤੇ ਵੰਡਣਾ ਨਹੀਂ ਚਾਹੁੰਦੇ। ਕਿਸੇ ਵੀ ਹਾਲਤ ਵਿੱਚ, ਪ੍ਰਮਾਣਿਕਤਾ ਢੰਗ, ਅਧਿਕਾਰ ਨਿਯਮ ਅਤੇ ਡੇਟਾਬੇਸ ਲੌਗਇਨ ਨੂੰ ਤਿੰਨ ਵੱਖਰੇ ਤੱਥਾਂ ਵਜੋਂ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਉਹ ਵੱਖਰੇ ਤੌਰ ਉੱਤੇ ਫੇਲ੍ਹ ਹੁੰਦੇ ਹਨ।